Anonymat des modèles d'IA : le critère du RGPD n'a pas bougé, sa preuve devient une mesure. Par Laurent Souhy.

Quatre organismes publics français — la CNIL, l'ANSSI, le PEReN et le projet IPoP piloté par Inria — développent depuis dix-huit mois une bibliothèque logicielle, annoncée en source ouverte, destinée à tester si un modèle d'intelligence artificielle a retenu les données sur lesquelles il a été entr…

Résumé

RGPD et anonymat des IA

Le Règlement général sur la protection des données (RGPD) utilise un critère fixe pour juger de l’anonymat d’un modèle d’intelligence artificielle (IA) : une personne est considérée comme non identifiable si elle ne peut plus être reconnue, même indirectement.

Ce critère n’a pas évolué depuis 2016.

Cependant, ce qui change aujourd’hui, c’est la manière dont on doit prouver qu’un modèle respecte ce critère.

Avant, une simple affirmation de la part d’un fournisseur suffisait souvent.

Désormais, il faut démontrer cette absence d’identifiabilité, notamment face à des attaques visant à extraire des données personnelles.

Le RGPD ne prescrit pas de méthode spécifique pour cette preuve, mais un avis du Comité européen de la protection des données (CEPD), adopté en décembre 2024, souligne que cette démonstration est souvent nécessaire pour conclure qu’un modèle est anonyme et donc hors du champ d’application du RGPD.